|
Rechner verseucht, AntiVir scheitert Hallo, ich habe einen Rechner auf dem Antivir völlig scheitert. Ich habe folgende Funde durch Antivir Wurm W32/Ramnit.C Wurm Polevo.cctw Trojaner HTML/Drop Agent Ich habe mit einer aktuellen Avira Boot CD den Rechner bereinigt. Er fand 4 Dateien und die wurden gelöscht. Bei einer zweiten Suche, keine Bedrohungen. Nachdem Windows XP wider an war, gings von vorn los. ca 200 Dateien in Quarantäne und es werden mehr. Sogar einen Stick den ich ansteckte, wurde sofort verseucht, ich konnte zusehen wie er Dateien drauf schrieb und Alarm anschlug. Avira Antivir packt das nicht. Er bemerkt zwar die Verseuchung kann sie aber nicht erfolgreich bekämpfen. Ist es denkbar das man die Festplatte ausbaut. Mit einem USB-Adaptzer an einen Rechner mit Kaspersky steckt und sie aufeinander los läst? Wird Kaspersky das gewinnen? Wie ich gelesen habe würde es das nichtmal bringen den Rechner neu aufzusetzen. Da Viren so nicht unbedingt vernichtet werden. Stimmt das? |
Zitat:
Zitat:
|
Ok ich bin hier der Viren-Killer-Anfänger :kaffee: Sorry wenn ich frage... Aber reicht der Textauswurf den mir AntiVir beim Ende des Suchvorgangs hoffentlich auswirft? Wenn ja... den bekomme ich in etwa 2 Stunden ... Oder was meinst da genau? |
Avira AntiVir Personal Erstellungsdatum der Reportdatei: Dienstag, 15. März 2011 10:02 Es wird nach 2493235 Virenstämmen gesucht. Das Programm läuft als uneingeschränkte Vollversion. Online-Dienste stehen zur Verfügung. Lizenznehmer : Avira AntiVir Personal - FREE Antivirus Seriennummer : 0000149996-ADJIE-0000001 Plattform : Windows XP Windowsversion : (Service Pack 3) [5.1.2600] Boot Modus : Normal gebootet Benutzername : gebhardt Computername : PCXP Versionsinformationen: BUILD.DAT : 10.0.0.611 31824 Bytes 14.01.2011 13:28:00 AVSCAN.EXE : 10.0.3.5 435368 Bytes 11.12.2010 16:52:29 AVSCAN.DLL : 10.0.3.0 56168 Bytes 30.03.2010 10:42:16 LUKE.DLL : 10.0.3.2 104296 Bytes 11.12.2010 16:52:30 LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 10:59:47 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 06:35:52 VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 07:16:20 VBASE002.VDF : 7.11.3.0 1950720 Bytes 09.02.2011 18:11:23 VBASE003.VDF : 7.11.3.1 2048 Bytes 09.02.2011 18:11:23 VBASE004.VDF : 7.11.3.2 2048 Bytes 09.02.2011 18:11:23 VBASE005.VDF : 7.11.3.3 2048 Bytes 09.02.2011 18:11:23 VBASE006.VDF : 7.11.3.4 2048 Bytes 09.02.2011 18:11:23 VBASE007.VDF : 7.11.3.5 2048 Bytes 09.02.2011 18:11:23 VBASE008.VDF : 7.11.3.6 2048 Bytes 09.02.2011 18:11:23 VBASE009.VDF : 7.11.3.7 2048 Bytes 09.02.2011 18:11:23 VBASE010.VDF : 7.11.3.8 2048 Bytes 09.02.2011 18:11:23 VBASE011.VDF : 7.11.3.9 2048 Bytes 09.02.2011 18:11:23 VBASE012.VDF : 7.11.3.10 2048 Bytes 09.02.2011 18:11:23 VBASE013.VDF : 7.11.3.59 157184 Bytes 14.02.2011 15:25:46 VBASE014.VDF : 7.11.3.97 120320 Bytes 16.02.2011 15:25:46 VBASE015.VDF : 7.11.3.148 128000 Bytes 19.02.2011 15:25:47 VBASE016.VDF : 7.11.3.183 140288 Bytes 22.02.2011 07:11:33 VBASE017.VDF : 7.11.3.216 124416 Bytes 24.02.2011 07:11:33 VBASE018.VDF : 7.11.3.251 159232 Bytes 28.02.2011 20:37:24 VBASE019.VDF : 7.11.4.33 148992 Bytes 02.03.2011 20:37:24 VBASE020.VDF : 7.11.4.73 150016 Bytes 06.03.2011 19:36:19 VBASE021.VDF : 7.11.4.108 122880 Bytes 08.03.2011 19:36:20 VBASE022.VDF : 7.11.4.150 133120 Bytes 10.03.2011 19:36:20 VBASE023.VDF : 7.11.4.183 122368 Bytes 14.03.2011 08:59:39 VBASE024.VDF : 7.11.4.184 2048 Bytes 14.03.2011 08:59:39 VBASE025.VDF : 7.11.4.185 2048 Bytes 14.03.2011 08:59:39 VBASE026.VDF : 7.11.4.186 2048 Bytes 14.03.2011 08:59:39 VBASE027.VDF : 7.11.4.187 2048 Bytes 14.03.2011 08:59:39 VBASE028.VDF : 7.11.4.188 2048 Bytes 14.03.2011 08:59:39 VBASE029.VDF : 7.11.4.189 2048 Bytes 14.03.2011 08:59:39 VBASE030.VDF : 7.11.4.190 2048 Bytes 14.03.2011 08:59:39 VBASE031.VDF : 7.11.4.204 54272 Bytes 15.03.2011 08:59:40 Engineversion : 8.2.4.186 AEVDF.DLL : 8.1.2.1 106868 Bytes 07.08.2010 19:50:12 AESCRIPT.DLL : 8.1.3.56 1261945 Bytes 11.03.2011 19:36:23 AESCN.DLL : 8.1.7.2 127349 Bytes 22.11.2010 16:04:47 AESBX.DLL : 8.1.3.2 254324 Bytes 22.11.2010 16:04:54 AERDL.DLL : 8.1.9.8 639346 Bytes 15.03.2011 08:59:50 AEPACK.DLL : 8.2.4.12 520567 Bytes 15.03.2011 08:59:49 AEOFFICE.DLL : 8.1.1.17 205177 Bytes 11.03.2011 19:36:23 AEHEUR.DLL : 8.1.2.86 3350903 Bytes 15.03.2011 08:59:48 AEHELP.DLL : 8.1.16.1 246134 Bytes 06.02.2011 14:07:26 AEGEN.DLL : 8.1.5.2 397683 Bytes 24.01.2011 16:12:35 AEEMU.DLL : 8.1.3.0 393589 Bytes 22.11.2010 16:03:52 AECORE.DLL : 8.1.19.2 196983 Bytes 24.01.2011 16:12:35 AEBB.DLL : 8.1.1.0 53618 Bytes 03.05.2010 20:15:52 AVWINLL.DLL : 10.0.0.0 19304 Bytes 14.01.2010 10:59:10 AVPREF.DLL : 10.0.0.0 44904 Bytes 14.01.2010 10:59:07 AVREP.DLL : 10.0.0.8 62209 Bytes 18.02.2010 15:47:40 AVREG.DLL : 10.0.3.2 53096 Bytes 03.11.2010 19:39:56 AVSCPLR.DLL : 10.0.3.2 84328 Bytes 11.12.2010 16:52:30 AVARKT.DLL : 10.0.22.6 231784 Bytes 11.12.2010 16:52:29 AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 26.01.2010 08:53:25 SQLITE3.DLL : 3.6.19.0 355688 Bytes 28.01.2010 11:57:53 AVSMTP.DLL : 10.0.0.17 63848 Bytes 16.03.2010 14:38:54 NETNT.DLL : 10.0.0.0 11624 Bytes 19.02.2010 13:40:55 RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28.01.2010 12:10:08 RCTEXT.DLL : 10.0.58.0 98152 Bytes 03.11.2010 19:39:55 Konfiguration für den aktuellen Suchlauf: Job Name..............................: Lokale Laufwerke Konfigurationsdatei...................: c:\programme\avira\antivir desktop\alldrives.avp Protokollierung.......................: niedrig Primäre Aktion........................: interaktiv Sekundäre Aktion......................: ignorieren Durchsuche Masterbootsektoren.........: ein Durchsuche Bootsektoren...............: ein Bootsektoren..........................: C:, A:, D:, E:, Durchsuche aktive Programme...........: ein Durchsuche Registrierung..............: ein Suche nach Rootkits...................: aus Integritätsprüfung von Systemdateien..: aus Datei Suchmodus.......................: Intelligente Dateiauswahl Durchsuche Archive....................: ein Rekursionstiefe einschränken..........: 20 Archiv Smart Extensions...............: ein Makrovirenheuristik...................: ein Dateiheuristik........................: niedrig Abweichende Gefahrenkategorien........: +APPL,+GAME,+JOKE,+PCK,+PFS,+SPR, Beginn des Suchlaufs: Dienstag, 15. März 2011 10:02 Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'taskmgr.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'GoogleToolbarNotifier.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TeaTimer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hpotdd01.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ashMaiSv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'qttask.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ashDisp.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'RUNDLL32.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'IEXPLORE.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'IEXPLORE.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ashServ.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'aswUpdSv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht Der Suchlauf über die Masterbootsektoren wird begonnen: Masterbootsektor HD0 [INFO] Es wurde kein Virus gefunden! Der Suchlauf über die Bootsektoren wird begonnen: Bootsektor 'C:\' [INFO] Es wurde kein Virus gefunden! Bootsektor 'A:\' [INFO] Es wurde kein Virus gefunden! Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen: C:\Dokumente und Einstellungen\gebhardt\Startmenü\Programme\Autostart\eeygakdc.exe [FUND] Enthält Erkennungsmuster des Wurmes WORM/Agent.aeg C:\Recycle.Bin\Recycle.Bin.exe [FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctw Die Registry wurde durchsucht ( '1333' Dateien ). Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\' C:\Dokumente und Einstellungen\gebhardt\Lokale Einstellungen\Temp\14.tmp [FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctv C:\Dokumente und Einstellungen\gebhardt\Lokale Einstellungen\Temp\18.tmp [FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctv C:\Dokumente und Einstellungen\gebhardt\Lokale Einstellungen\Temp\14.tmp [FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctv C:\Dokumente und Einstellungen\gebhardt\Lokale Einstellungen\Temp\18.tmp [FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctv C:\Dokumente und Einstellungen\gebhardt\Startmenü\Programme\Autostart\eeygakdc.exe [FUND] Enthält Erkennungsmuster des Wurmes WORM/Agent.aeg C:\Dokumente und Einstellungen\gebhardt\Lokale Einstellungen\Temp\14.tmp [FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctv C:\Dokumente und Einstellungen\gebhardt\Lokale Einstellungen\Temp\18.tmp [FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctv C:\Dokumente und Einstellungen\gebhardt\Startmenü\Programme\Autostart\eeygakdc.exe [FUND] Enthält Erkennungsmuster des Wurmes WORM/Agent.aeg C:\Dokumente und Einstellungen\gebhardt\Startmenü\Programme\Autostart\eeygakdc.exe [FUND] Enthält Erkennungsmuster des Wurmes WORM/Agent.aeg C:\Dokumente und Einstellungen\gebhardt\Startmenü\Programme\Autostart\eeygakdc.exe [FUND] Enthält Erkennungsmuster des Wurmes WORM/Agent.aeg C:\Programme\vbhtpktl\eeygakdc.exe [FUND] Enthält Erkennungsmuster des Wurmes WORM/Agent.aeg C:\Recycle.Bin\Recycle.Bin.exe [FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctw Beginne mit der Suche in 'A:\' Beginne mit der Suche in 'D:\' Der zu durchsuchende Pfad D:\ konnte nicht geöffnet werden! Systemfehler [21]: Das Gerät ist nicht bereit. Beginne mit der Suche in 'E:\' Der zu durchsuchende Pfad E:\ konnte nicht geöffnet werden! Systemfehler [21]: Das Gerät ist nicht bereit. Beginne mit der Desinfektion: C:\Programme\vbhtpktl\eeygakdc.exe [FUND] Enthält Erkennungsmuster des Wurmes WORM/Agent.aeg [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4ea9e780.qua' verschoben! C:\Dokumente und Einstellungen\gebhardt\Lokale Einstellungen\Temp\18.tmp [FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctv [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '566bc3b4.qua' verschoben! C:\Dokumente und Einstellungen\gebhardt\Lokale Einstellungen\Temp\14.tmp [FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctv [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '04349958.qua' verschoben! C:\Recycle.Bin\Recycle.Bin.exe [FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctw [HINWEIS] Der Registrierungseintrag <HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Recycle.Bin.exe> wurde erfolgreich entfernt. [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '624cd6af.qua' verschoben! C:\Dokumente und Einstellungen\gebhardt\Startmenü\Programme\Autostart\eeygakdc.exe [FUND] Enthält Erkennungsmuster des Wurmes WORM/Agent.aeg [HINWEIS] Der Registrierungseintrag <HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup> wurde erfolgreich entfernt. [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '27d2f02a.qua' verschoben! [HINWEIS] Der Registrierungseintrag <HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup> wurde erfolgreich entfernt. Ende des Suchlaufs: Dienstag, 15. März 2011 12:07 Benötigte Zeit: 2:03:48 Stunde(n) Der Suchlauf wurde vollständig durchgeführt. 7986 Verzeichnisse wurden überprüft 277179 Dateien wurden geprüft 14 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 5 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 0 Dateien konnten nicht durchsucht werden 277165 Dateien ohne Befall 2241 Archive wurden durchsucht 0 Warnungen 4 Hinweise |
Bisschen wenig für angebliche 200 Funde :pfeiff: Hast du noch weitere Logs? |
nein hab ich nicht... die Prüfung ging gut 2 stunden und zwischendurch kam er mir mit der meldung so etwa 160 Funde... die wollte er in Quarantäne verschieben... da hab ich ok geklickt dann kam er immer wieder mit kleineren Mengen... den log gabs zum Schluss |
Bitte routinemäßig einen Vollscan mit malwarebytes machen und Log posten. Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten! Danach OTL: Systemscan mit OTL Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop
|
Problem gelöst... danke |
Geht das auch genauer wie das Problem gelöst wurde? |
Nach 10 Stunden und unzähligen Scanns und Versuchen mit verschiedensten Notfall-CDs die Viren zu bekämpfen habe ich die Festplatte ausgebaut und via USB-Adapter an einen sauberen, durch Kaspersky überwachten Rechner angesteckt. Dann habe ich mit Kaspersky die Festplatte prüfen lassen. Kaspersky hat alle Schädliche elemniert. Es waren 33 Schädlinge. Trojaner, Vieren, Mailware, Würmer und bösartige Scripte. Versteckte Software die eine Installation von Kaspersky unmöglich macht war auch drauf. Ich hab alles im USB-Modus gelöscht Anschließend noch paar bremsende Einträge aus der Registry gelöscht. Jetzt rennt er wieder und Kaspersky hat den Job jetzt voll übernommen. alles clean ;-) Der Rechner lief im Internet lange Zeit scheinbar ohne jeden Schutz. |
Hast du die Logs dazu? Ich glaub kaum, dass die Virenscanner alles entfernt haben. Analysen mit weiteren Tools sind nicht zu ersetzen. |
Nein ich habe keine weiteren Logs. Aber der Rechner ist wieder voll einsatzfähig. Es kann ja sein das nich einer rumkriecht. Aber damit beschäftige ich mich ein anderes mal. wir sehen uns... cu |
Bist du sicher, dass diese Gleichgüültigkeit jetzt angemessen ist? Poste wenigstens erstmal die OTL-Logs. Außerdem müssen wir auch auf Rootkits und den MBR prüfen. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 21:14 Uhr. |
Copyright ©2000-2025, Trojaner-Board